SAAセキュアなアーキテクチャの設計
大企業がAWS Organizationsを使用して50以上のAWSアカウントを管理しています。セキュリティチームは、組織内のすべてのアカウントでAWS CloudTrailの無効化を防止し、管理者権限を持つIAMユーザーであっても変更できないようにする必要があります。最も効果的な方法はどれですか？
A各アカウントのすべてのIAMポリシーにcloudtrail:StopLoggingとcloudtrail:DeleteTrailを拒否するステートメントを追加する
各アカウントのIAMポリシーに拒否ステートメントを追加しても、管理者権限でそのポリシー自体を変更・削除できるため、組織全体での無効化防止を確実に保証できません。
BAWS OrganizationsのSCP（サービスコントロールポリシー）でcloudtrail:StopLoggingとcloudtrail:DeleteTrailを拒否し、組織のルートまたは対象OU（組織単位）にアタッチする
✓ 正解
SCPは管理者を含む全プリンシパルへ適用される組織レベルのガードレールで、ルート/OUへのアタッチにより50以上のアカウント全体でCloudTrailの無効化・削除を確実に防止できます。
CAWS Configルールを使用してCloudTrailが有効であることを検出し、非準拠の場合にAmazon SNSで通知を送信する
Configルールは非準拠状態を検出してSNS通知しますが、CloudTrailの無効化操作を事前にブロックする機能はなく、事後検知にとどまります。
DAWS Security Hubを有効化し、CIS AWS Foundationsベンチマークを使用してCloudTrailのコンプライアンス状態を継続的に監視する
Security HubはCISベンチマークでCloudTrailの状態を継続監視できますが、無効化操作そのものを強制的に防止する機能は持ちません。
解説
SCPはIAM評価の前段に適用される組織レベルのガードレールであり、ルートまたはOUにcloudtrail:StopLoggingとcloudtrail:DeleteTrailを明示的に拒否するSCPをアタッチすることで、管理者権限のIAMユーザーを含むすべてのプリンシパルがCloudTrailを無効化・削除できなくなります。
選択肢Aの各アカウントのIAMポリシーへの拒否追加は、管理者権限でそのポリシー自体を変更・削除できるため、無効化防止の確実な保証になりません。
選択肢CのConfigルールは非準拠状態を検出しSNS通知しますが、CloudTrailの無効化操作を事前に防止するものではなく、事後検知のみです。
選択肢DのSecurity HubはCISベンチマークでコンプライアンス状態を継続監視できますが、無効化操作そのものを防止する強制力はありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSAAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →